Специалисты по компьютерной безопасности опубликовали список аппаратных уязвимостей, которым подвержены практически все современные устройства с микропроцессорами. Особенность этого типа уязвимости в том, что хакеры могут красть любую информацию – включая пароли.

Чтобы исправить эти ошибки, самые популярные чипы придется замедлить – другой возможности не существует. Одна уязвимость затрагивает только процессоры Intel, вторая – любые чипы, использующие технологию "предсказания ветвлений".

Об уязвимостях независимо заявили исследователи из Google Project Zero, Cyberus Technology и Грацского технического университета.

Meltdown

Суть ошибки в том, что чип пытается предсказать, какие действия от него потребуются в ближайшем будущем, и помещает данные программ в особую зону памяти. Данные остаются там даже после того, как процессор понимает, что предсказание было ошибочным. И любая программа – в том числе и вредоносная – может получить доступ к загруженным данным.

Вот наглядная демонстрация, как хакер, используя стандартный для сайтов язык JavaScript, может узнать пароль. Для этого ему даже не нужно загружать вирус или бэкдор на конкретный компьютер – достаточно, чтобы жертва зашла на сайт.

Этой уязвимости подвержены практически все процессоры, выпущенные Intel с 1995 года. Специалист австрийского Технологического университета Граца (Graz University of Technology) Дэниел Грюсс, который и обнаружил Meltdown, назвал эту ошибку "вероятно, одной из худших ошибок процессора из когда-либо найденных".

Spectre

Эта уязвимость касается и процессоров Intel, и чипов основных конкурентов этой корпорации – AMD и ARM Holdings. Организовать атаку с использованием Spectre сложнее, но и сама уязвимость, в отличие от Meltdown, касается всей логики предсказания ветвлений.

Суть уязвимости в том, что вредоносное приложение может получить информацию из другой программы, в том числе и пароли.

Вот как описал "для своего не слишком технически сведущего отца" атаку один из комментаторов:

"Допустим, вы решили узнать, какие книги берет в библиотеке интересующий вас человек. Библиотека отказывается делиться с вами информацией, кто брал книги, и не хранит записи о читателях под обложкой. Вы знаете только о книгах, которые получали сами.

Тогда вы приходите в библиотеку сразу за человеком, за которым следите. Вы просите у библиотекаря те книги, которыми мог интересоваться этот человек. Если библиотекарь говорит: "Вам повезло, такие книги у меня под рукой", значит вы уже знаете, какие книги читает интересующая вас персона. Если библиотекарь ушел искать заказанные вами книги – вы узнаете, что этот человек не интересовался этими книгами (на этот раз)".

Что делать

Microsoft выпустила экстренное обновление Windows: в версии 10 оно установится автоматически с 4 января (код KB4054022), а для Windows 8 и 7 патчи нужно устанавливать вручную.

Google доработала последние поколения своих мобильных устройств — Nexus 5X, Nexus 6P, Pixel C, Pixel/XL, и Pixel 2/XL: патчи автоматически загрузятся на устройства в январе, однако для завершения установки их будет необходимо перезагрузить.

Компания Google рассказала, какие действия стоит предпринять пользователям, чтобы не пострадать от ошибок.

Директор Intel Брайан Кжанич заявил, что им было известно о недостатках и 9 января они планировали выпустить окончательные предложения по исправлению обнаруженных ошибок. Однако, по его словам, обновления для устранения проблемы могут привести к тому, что чипы Intel будут работать на 5-30% медленнее.